W32/Avril@mm, W32/Avron@mm, I.worm.Avron@mm

Avril es un gusano de origen ruso, reportado el 18 de Diciembre del 2002, de difusión masiva vía mensajes de correo y con una alta capacidad de infección en unidades compartidas de Redes LAN. Aleatoriamente infecta con tan solo leer el mensaje o ejecutando el archivo infectado. 

Posee una rutina para robar claves de acceso y otra para desactivar antivirus y firewalls. 

Está desarrollado en MS Visual C++, con una extensión de 26 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/XP

Los mensajes de correo tienen los siguientes formatos:

El campo De: puede contener una dirección capturada de un sistema previamente infectado o es elegido en forma aleatoria de esta lista: 

• IIS Exchange Board <iis@microsoft.com>
• IREX/ORG <smash@smash.com>
• RART Team <aguilera@aguilera.com>
• Stimon online <strauss@annung.de>
• Rudolf Ginsberg <rudolf@ginsberg.com>
• Avril Lavigne <avril@avril.com>
• ACTR/Accels <general@actr.org>

El Asunto: es seleccionado al azar de uno de los siguientes:

• Fw: IREX Fields Description

• Re: ACCELS Awards results for 2003

• Re: Avril Fans will rock you

• Fw: Avril Lavigne - the best

• Re: Antique themes

• Re: ACTR/ACCELS Transcriptions

El Contenido: es uno de los siguientes formatos HTML elegido al azar:

Texto 1: 
EDUCATIONAL PURPOSE
Avril fans subscription
I wish you the sweetest thing

Texto 2: 
Restricted area response team (RART)

Attachment you sent to %random worm% is really good :-)
Well done!

SMTP session error #450: service not ready

Texto 3: 
>See this in attached files
>>New PICS of Avril Lavigne!!!
>>It is honourable when you do it!!!

El archivo Anexado es uno de los siguientes:

• Resume.exe

• ACTR_Form.exe

• AvrilFans.exe

• PDF_Desc.exe

• XXX_Teens.exe

• Transcripts.exe

• Readme.exe

• AvrilSmiles.exe

Este singular gusano puede aprovechar la vulnerabilidad denominada MIME Exploit para auto-ejecutarse con tan solo visualizar el mensaje, o de otro modo su contenido es un auténtico código HTML. 

Si el mensaje es visualizado o el archivo infectado es ejecutado, cualquiera sea el caso, el gusano se auto-copiará a la carpeta %System% con un nombre aleatorio, elegido de una serie de cadenas contenidos en su código con la extensión .EXE y para activarse al siguiente vez que se inicie el sistema modifica la llave de registro: 

[[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
default = %System%\%nombre_aleatorio_de_archivo%

%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP.

A continuación el gusano captura los buzones de correo de la Libreta de Direcciones de Windows (WAB) y de los archivos con extensiones .DBX, .MBX, .WAB, .HTML, .EML, .HTM, .ASP y .SHTML y para auto-enviarse masivamente se conecta al servidor SMTP (Simple Mail Transfer Protocol) instalado por defecto en el sistema infectado.

Durante su propagación, este gusano crea un archivo de nombre NewBoot.sys en la carpeta Temporal de Windows y otro llamado listrecp.dll en el directorio de Windows, donde registrará los nombres de las direcciones de correo capturadas. 

También se copia con nombres aleatorios al directorio \RECYCLED en todas las unidades lógicas de los discos de las redes LAN y en el caso de no existir el mencionado directorio, se copiará al directorio raíz de cada una de las unidades de disco. 

Avron ejecuta una rutina que intenta desactivar los procesos de la mayoría de antivirus y firewalls, con lo cual dejará indefensos a los equipos infectados. 

Con el propósito de auto-ejecutarse, el gusano agrega una línea de comando al AUTOEXEC.BAT en el mismo disco de inicio y también activará su rutina de "robo" o captura de Claves de Acceso, la cual consiste en enumerar las Claves almacenadas en el "Cache" y enviarlas a la dirección otto_psws@pochta.ws con el Asunto: Password Got. (Password conseguido).

Esta es una dirección válida y usa el servidor de correo mail.pobox.ru registrado en el Russian Institute for Public Networks a nombre de:

Konstantin V. Nefedov
address: 2 Paveletskaya Square, Building 1 Moscow 113054 Russia.
phone: +7 095 7219209
fax-no: +7 095 7219201

Apenas recibida la muestra de este gusano, enviamos un mensaje en inglés al supuesto autor y nos contestó en idioma ruso, que traducido al español, negaba cualquier autoría del virus, pero amenazaba con atacar nuestro computador, desconociendo que le habíamos escrito desde un "servidor proxy anónimo" con un encabezado que de ninguna manera evidenciaba nuestra verdadera identidad o dirección IP.

El payload final de este gusano consiste en activar una rutina de movimiento aleatorio del mouse en la pantalla, en forma involuntaria al usuario, los días 04 y 24 de cada mes, además de intentar conectarse a este sitio en la web:

http://www.avril-lavigne.com

Este hecho, sumado a las características de los mensajes evidencian al autor de este virus, como un admirador de la bella cantante canadiense Avril Lavigne, recientemente nominada como la nueva revelación femenina de música POP en el BILLBOARD MUSIC AWARDS 2002.  Lo prueba este archivo de texto creado por el gusano en el directorio temporal: